En 9.8 i serveren der bygger jeres software

CVE-2026-63077 er en sårbarhed ved deserialisering af upålidelige data, den klasse CISA registrerer under CWE-502, i JetBrains TeamCity On-Premises, den continuous-integration- og continuous-delivery-server tusindvis af europæiske og britiske udviklingsteams bruger til at kompilere, teste og udsende deres egen kode. Den har en CVSS-score på 9.8, det næsten højeste niveau, forbeholdt fejl der hverken kræver adgangsoplysninger eller brugerinteraktion og giver angriberen alt på én gang.

Fejlen sidder i TeamCitys agent-pollingprotokol, den kanal build-agenter bruger til at melde sig hos serveren. En angriber, der kan nå den kanal via HTTP eller HTTPS uden nogen login, kan sende en manipuleret payload, som TeamCity deserialiserer og udfører som en styresystemkommando, med præcis de rettigheder selve TeamCity-serverprocessen har. Alle udsendte on-premises-versioner er berørt; TeamCity Cloud, hostet af JetBrains, var allerede rettet og kræver ingen handling fra kunderne.

Ni dage fra offentliggørelse til bekræftet udnyttelse

JetBrains offentliggjorde sin egen advisory den 27. juli 2026, anerkendte opdagelsen og udsendte rettede builds, TeamCity 2025.11.7 og 2026.1.3, sammen med et sikkerhedspatch-plugin der dækker version 2017.1 og fremad for teams, der ikke kan opgradere med det samme. På det tidspunkt oplyste JetBrains, at man ikke havde kendskab til aktiv udnyttelse.

Den 5. august 2026 tilføjede den amerikanske myndighed CISA (Cybersecurity and Infrastructure Security Agency) CVE-2026-63077 til sit katalog over kendte udnyttede sårbarheder, listen CISA forbeholder fejl, hvor aktiv udnyttelse i reelle angreb er bekræftet, ikke blot teoretisk mulig. I henhold til Binding Operational Directive 26-04 havde amerikanske føderale civile myndigheder frist til 8. august 2026, sidste lørdag, til at patche eller afkoble eksponerede systemer. Optagelsen kom i samme uge som CISA bekræftede en separat bølge af aktiv udnyttelse mod IBM Langflow, N-able N-central og Apache Tomcat, tilføjet kataloget en dag før, den 4. august, i et selvstændigt bulletin; andre sårbarheder, andre leverandører, samme budskab om hvor lidt spillerum internetvendt infrastruktursoftware får, når en fejl bliver offentlig.

Et CI/CD-brud er et forsyningskædebrud

Et typisk webserver-brud koster en organisation det, der ligger på netop den ene server. TeamCity opbevarer mere: de cloud-udbydernøgler og container-registry-tokens build-agenter bruger til at deploye, de pakkedepot-adgangsoplysninger der lader en pipeline udgive under en organisations verificerede navn, og ofte de kodesigneringsnøgler der får udsendt software til at fremstå autentisk som organisationens egen for enhver kunde, der installerer den. Fjernkodeudførelse med serverrettigheder på orkestratoren i centrum af den tillidskæde rammer alle disse adgangsoplysninger på én gang.

En angriber, der når så langt, kan gøre mere end at kopiere en database: vedkommende kan indsætte sig selv i en fremtidig build, indtil nogen opdager det, samme mekanisme bag de forsyningskædekompromitteringer, der tidligere har ramt softwareleverandører langt større end den typiske EU- eller UK-udviklingsvirksomhed. Eksponeringen rækker ud over selve TeamCity-serveren, til enhver kunde og ethvert nedstrømssystem, der stoler på, hvad serveren producerer.

Fristen er ikke jeres; udnyttelsen er det allerede

Binding Operational Directive 26-04 binder juridisk kun amerikanske føderale civile myndigheder, og en udviklingsvirksomhed i Berlin, Amsterdam eller Manchester, der kører TeamCity on-premises, skylder ikke CISA nogen compliance-rapport. At læse det som en tilladelse til at patche efter den sædvanlige tidsplan forveksler et compliance-artefakt med en trusselsprognose.

Det vigtigste faktum er selve KEV-optagelsen. CISA tilføjer først en CVE til kataloget, når det er bekræftet, at reelle angribere bruger den mod reelle, internetvendte servere, og en internetvendt TeamCity-instans i EU eller Storbritannien er præcis lige så tilgængelig for den angriber som en i Virginia. NIS2 og Storbritanniens egne retningslinjer for væsentlige og vigtige enheder forventer allerede, at organisationer behandler bekræftet aktiv udnyttelse som en operationel nødsituation, uanset hvilken regering der har navngivet fristen. Den føderale frist udløb lørdag; eksponeringen den blev skrevet til, står stadig åben.

Hvad der bør tjekkes denne uge

Kører TeamCity On-Premises i jeres miljø, har rettelsen et versionsnummer: opgrader til 2025.11.7 eller 2026.1.3. Hvor en øjeblikkelig opgradering ikke er mulig, dækker JetBrains' sikkerhedspatch-plugin versioner tilbage til 2017.1 og lukker hullet uden et fuldt versionsspring. Indtil en af delene er gennemført, betaler det sig at tage serveren af det åbne internet, begrænse adgangen til et VPN eller et andet betroet netværk, og bekræfte at TeamCity-processen kører med de minimale styresystemrettigheder, den behøver, ikke en administratorkonto.

At patche lukker døren fremadrettet. Hvad der allerede kan være nået ind før patchen blev anvendt, fortjener særskilt opmærksomhed: enhver adgangsoplysning TeamCity-serveren kunne nå, cloud-API-nøgler, registry-tokens, signeringsnøgler, deployment-SSH-nøgler, er værd at rotere uanset om et indbrud er bekræftet, fordi en deserialiserings-RCE, der kører med serverprocessens rettigheder, ikke pålideligt efterlader logs i forhold til, hvad den fik adgang til. Før næste udgivelse sendes af sted, er det værd at tjekke nylige build-artefakter mod kendte gode hashes fra før eksponeringsvinduet.

Læs videre: Sletter du angriberen, sletter du også logikken  |  Siemens og Schneider kom med den 22. juli